IKEv2 ഫ്രാഗ്മെന്റേഷനെ സർട്ടിഫിക്കറ്റ് ചെയിൻ പ്രശ്നത്തിൽ നിന്ന് വേർതിരിക്കൽ

ടണൽ ഓഫീസ് നെറ്റ്വർക്കിൽ പ്രവർത്തിച്ചിരുന്നു, വീട്ടിൽ നിൽക്കുന്നു, കൂടാതെ ആദ്യ കൈമാറ്റം മറ്റെന്തെങ്കിലും സംഭവിക്കുന്നതിന് മുമ്പ് പൂർത്തിയാകുന്നതായി ലോഗ് കാണിക്കുന്നു. ഈ മാതൃക ക്രെഡൻഷ്യലുകളെയല്ല, പ്രാമാണീകരണ കൈമാറ്റത്തെ സൂചിപ്പിക്കുന്നു: സർട്ടിഫിക്കറ്റ് ചെയിൻ ആ സന്ദേശത്തെ മുൻപത്തേതിനേക്കാൾ വളരെ വലുതാക്കുന്നു, വലിയ ഡാറ്റാഗ്രാമുകൾ ഇഷ്ടപ്പെടാത്ത പാത അതിനെ നിശ്ശബ്ദമായി ഉപേക്ഷിക്കും. രണ്ട് വ്യത്യസ്ത ഫ്രാഗ്മെന്റേഷൻ സംവിധാനങ്ങൾ ഉൾപ്പെട്ടിരിക്കുന്നു, ഏതാണ് നിങ്ങൾ നോക്കുന്നതെന്ന് അറിയുന്നത് പരിഹാരം നിർണ്ണയിക്കുന്നു.

രണ്ട് ഫ്രാഗ്മെന്റേഷൻ സംവിധാനങ്ങൾ, ഒരു ലക്ഷണം

IKEv2-ന് സ്വന്തമായി ഒരു ഫ്രാഗ്മെന്റേഷൻ എക്സ്റ്റൻഷൻ ഉണ്ട്, അത് RFC 7383-ൽ നിർവചിച്ചിരിക്കുന്നു, സംരക്ഷിത IKE സന്ദേശങ്ങളെ ചെറിയ IKE സന്ദേശങ്ങളായി വിഭജിക്കുന്നു. ഇരു കക്ഷികളും ആ കഴിവിനെക്കുറിച്ച് ചർച്ച ചെയ്യുന്നു, സന്ദേശം IP പാളിയല്ല, IKE നടപ്പാക്കലാണ് വീണ്ടും കൂട്ടിച്ചേർക്കുന്നത്.

സാധാരണ IP ഫ്രാഗ്മെന്റേഷൻ വ്യത്യസ്ത പരാജയരീതിയുള്ള മറ്റൊരു സംവിധാനമാണ്. ഇരു കക്ഷികൾക്കിടയിലുള്ള റൗട്ടർ വലിയ ഡാറ്റാഗ്രാം ഖണ്ഡിക്കുന്നു, അല്ലെങ്കിൽ അത് ഉപേക്ഷിച്ച് അയച്ചയാൾക്ക് ഒരിക്കലും എത്തിച്ചേരാത്ത ICMP സന്ദേശം തിരികെ നൽകുന്നു. ചില നെറ്റ്വർക്കുകൾ ഖണ്ഡങ്ങൾ നിശ്ശബ്ദമായി വലിച്ചെറിയുന്നു, ചില ഇടനില ഉപകരണങ്ങൾ ആദ്യ ഖണ്ഡം കൈകാര്യം ചെയ്യുന്നു, ബാക്കിയുള്ളവയല്ല. ആപ്ലിക്കേഷന്റെ വീക്ഷണത്തിൽ മൂന്ന് കേസുകളും ഒരുപോലെ തോന്നുന്നു.

NAT കടന്നുപോകൽ മൂന്നാമത്തെ ചരം ചേർക്കുന്നു, കാരണം അപ്പോൾ ESP UDP-യിൽ പൊതിയപ്പെടുന്നു, പുറം പാക്കറ്റ് വലുതാകുന്നു, അതേസമയം പോർട്ട് 4500-ൽ സാധാരണ UDP ട്രാഫിക്ക് പോലെ തോന്നുന്നു. UDP നന്നായി കടത്തിവിടുന്ന പാതയും ഇനി ഒതുങ്ങാത്ത ഡാറ്റാഗ്രാമിൽ പരാജയപ്പെടാം.

പരാജയപ്പെട്ട കൈമാറ്റം വായിക്കുക

പിശകല്ല, പരിവർത്തനം തിരയുക. ആദ്യ കൈമാറ്റം അയച്ചു മറുപടി നൽകി, പിന്നീട് ഒന്നുമില്ല എന്ന് കാണിക്കുന്ന ലോഗ്, അടുത്ത സന്ദേശം ഒരിക്കലും പൂർത്തിയായില്ല എന്ന് നിങ്ങളോട് പറയുന്നു. ലോഗ് നില താൽക്കാലികമായി ഉയർത്തി ഇരു കക്ഷികളിലും റിപ്പോർട്ട് ചെയ്ത വലിപ്പങ്ങൾ താരതമ്യം ചെയ്യുക.

നിങ്ങൾ സ്ഥാപിക്കാൻ ആഗ്രഹിക്കുന്നത്, മറുപടിക്കാരൻ അഭ്യർത്ഥന കണ്ടിട്ടുണ്ടോ എന്നതാണ്. തുടക്കക്കാരൻ എന്തെങ്കിലും അയച്ചു, മറുപടിക്കാരന് അതിനെക്കുറിച്ച് ഒരു രേഖയുമില്ല എന്നുണ്ടെങ്കിൽ, പ്രശ്നം വിതരണത്തിലാണ്. മറുപടിക്കാരൻ അഭ്യർത്ഥന വിശകലനം ചെയ്ത് നിരസിച്ചുവെങ്കിൽ, പ്രശ്നം സർട്ടിഫിക്കറ്റിൽ തന്നെയാണ്, ഫ്രാഗ്മെന്റേഷൻ ശ്രദ്ധ തിരിക്കലാണ്. ആ വ്യത്യാസം ഒരു പേജ് ടൈംഔട്ട് സന്ദേശങ്ങളെക്കാൾ മൂല്യമുള്ളതാണ്.

പാത മാറ്റുക, സർട്ടിഫിക്കറ്റല്ല

അതേ ക്ലയന്റ്, അതേ സർട്ടിഫിക്കറ്റ്, അതേ കോൺഫിഗറേഷൻ മറ്റൊരു നെറ്റ്വർക്കിൽ നിന്ന് പരീക്ഷിക്കുക. മൊബൈൽ ഹോട്ട്സ്പോട്ട് സാധാരണയായി ഏറ്റവും വിലകുറഞ്ഞ രണ്ടാം പാതയാണ്, അത് ഓഫീസ് ലിങ്കിൽ നിന്ന് യഥാർത്ഥത്തിൽ വ്യത്യസ്തമാണ്, പേരിൽ മാത്രമല്ല.

രണ്ടാം പാതയിൽ ഹാൻഡ്ഷേക്ക് പൂർത്തിയായാൽ, സർട്ടിഫിക്കറ്റ് ചെയിൻ കുഴപ്പമില്ല, ഒന്നാം പാതയാണ് ചരം. രണ്ടിലും ഒരുപോലെ പരാജയപ്പെട്ടാൽ, നെറ്റ്വർക്കുകൾ പരീക്ഷിക്കുന്നത് നിർത്തി സന്ദേശങ്ങൾ തന്നെ നോക്കുക. ആ ഒരു താരതമ്യം സാധ്യമായ വിശദീകരണങ്ങളുടെ ഏകദേശം പകുതി ഒഴിവാക്കുന്നു.

എന്തെങ്കിലും തിരുത്തുന്നതിന് മുമ്പ് കൈമാറ്റം അളക്കുക

ചെയിനിന്റെ വലിപ്പവും പാതയുടെ വലിപ്പവും നേടുക. രണ്ട് സംഖ്യകളും ഹാൻഡ്ഷേക്കിന് അയക്കാനാകുന്നത് പരിമിതപ്പെടുത്തുന്നു, രണ്ടും അളക്കാൻ വിലകുറവാണ്:

openssl crl2pkcs7 -nocrl -certfile chain.pem | openssl pkcs7 -print_certs -noout | grep -c subject
ls -l chain.pem
ping -M do -s 1400 198.51.100.7
ip -s link show eth0 | sed -n '1,6p'

ആദ്യ രണ്ട് സർട്ടിഫിക്കറ്റുകളുടെ എണ്ണവും ഫയലിന്റെ വലിപ്പവും നൽകുന്നു, അത് പ്രാമാണീകരണ സന്ദേശം എത്ര വലുതാകുമെന്നതിന്റെ ന്യായമായ സൂചകമാണ്. ping പരിശോധന ആ വലിപ്പത്തിലുള്ള ഡാറ്റാഗ്രാം പാതയിൽ അതിജീവിക്കുന്നുണ്ടോ എന്ന് റിപ്പോർട്ട് ചെയ്യുന്നു, ഇന്റർഫേസ് കൗണ്ടറുകൾ നിങ്ങളുടെ ഭാഗത്ത് ഖണ്ഡങ്ങൾ ഉപേക്ഷിക്കപ്പെട്ടുവോ എന്ന് കാണിക്കുന്നു. Windows-ൽ തുല്യമായ പരിശോധന do-not-fragment ഫ്ലാഗും വ്യക്തമായ പേലോഡ് വലിപ്പവുമുള്ള ping ആണ്.

വിജയിക്കുന്നതുവരെ പരിശോധന താഴോട്ട് ആവർത്തിക്കുക. കടന്നുപോകുന്ന ഏറ്റവും വലിയ വലിപ്പമാണ് ആ പാതയുടെ പ്രവർത്തന ബജറ്റ്, അത് പ്രസിദ്ധീകരിച്ച ഏത് ഡിഫോൾട്ടിനെക്കാളും ഉപയോഗപ്രദമാണ്.

യഥാർത്ഥത്തിൽ തകർന്ന പാളി നന്നാക്കുക

പാത വലിയ ഡാറ്റാഗ്രാമുകൾ ഉപേക്ഷിക്കുന്നുവെങ്കിൽ, ഇരു കക്ഷികളിലും IKE ഫ്രാഗ്മെന്റേഷൻ പ്രവർത്തനക്ഷമമാക്കി, എക്സ്റ്റൻഷൻ നിർദ്ദേശിക്കപ്പെട്ടതല്ല, ചർച്ച ചെയ്യപ്പെട്ടതാണെന്ന് സ്ഥിരീകരിക്കുക. പാത IP തലത്തിൽ ഖണ്ഡങ്ങളെ മോശമായി കൈകാര്യം ചെയ്യുന്നുവെങ്കിൽ, തിരുത്ത് അവിടെയോ പുറം ഇന്റർഫേസിന്റെ MTU-യിലോ ആണ്, സർട്ടിഫിക്കറ്റ് സ്റ്റോറിലല്ല.

ചെയിൻ അനാവശ്യമായി നീളമുള്ളതാണെങ്കിൽ, ഒരു കക്ഷിക്ക് യഥാർത്ഥത്തിൽ ആവശ്യമുള്ള ഇടനില സർട്ടിഫിക്കറ്റുകളിലേക്ക് അത് ചുരുക്കുക. ക്ലയന്റ് ഇതിനകം വിശ്വസിക്കുന്ന ഒരു റൂട്ട് നീക്കം ചെയ്യുന്നത് ന്യായമായ പരിപാലനമാണ്; ഇടനിലയുള്ളത് നീക്കം ചെയ്യുന്നത് അല്ല, സന്ദേശം ചെറുതാക്കാൻ പരിശോധന ഓഫ് ചെയ്യുന്നത് വിതരണ പ്രശ്നത്തെ സുരക്ഷാ പ്രശ്നത്തിന് കൈമാറുന്നു.

ഏത് സംവിധാനമാണ് മാറ്റിയതെന്നും അതിനുശേഷം ഹാൻഡ്ഷേക്ക് എങ്ങനെയായിരുന്നുവെന്നും എഴുതിവയ്ക്കുക. അടുത്ത സംഭവം സാധാരണയായി അതേ ലക്ഷണത്തോടെ മറ്റൊരു നെറ്റ്വർക്കിലാണ്, ആ കുറിപ്പാണ് രണ്ട് മണിക്കൂറിനെ പത്ത് മിനിറ്റാക്കി മാറ്റുന്നത്.